不独立。oracle 21c中pdb用户身份验证由cdb统一处理，pdb仅控制用户可见性与权限范围，无法绕过cdb认证流程，密码策略、mfa配置等均在cdb层定义和生效。
Oracle 21c 中 PDB 级别用户身份验证是否独立？
不独立。Oracle 21c 的 PDB 本身不提供“独立的身份验证机制”，所有用户认证仍由 CDB 根容器统一处理，包括密码验证、外部认证（如 OS_AUTHENT_PREFIX）、以及 MFA 配置。PDB 只能控制用户**可见性**和**权限范围**，不能绕过 CDB 的认证流程。
为什么 ALTER SESSION SET CONTAINER 后还能用同一套密码登录？
因为登录动作发生在连接建立时，此时数据库尚未进入任何 PDB —— 认证由 CDB$ROOT 完成。只有成功通过 CDB 层认证后，客户端才能执行 ALTER SESSION SET CONTAINER = pdb_name 切换上下文。所以：
• 用户账号（如 SCOTT）必须在 CDB 中存在（或在 CDB 中创建的公用用户）；
• 密码策略（如 PASSWORD_VERIFY_FUNCTION）由 CDB 的 profile 决定，PDB 无法覆盖；
• 即使你在 PDB 中执行 CREATE USER scott IDENTIFIED BY ...，实际创建的是本地用户，但其认证仍走 CDB 统一路径，且该语句仅在当前 PDB 有效。
如何实现“逻辑上隔离”的 PDB 用户认证体验？
虽然底层认证不分离，但可通过组合配置达成近似效果：
- 为不同 PDB 创建**专用本地用户**（非公用用户），用户名可重复但密码独立（例如 PDB_A 中的
APP_USER和 PDB_B 中的APP_USER是两个不同账号）； - 将用户默认 profile 设为 PDB 级别自定义 profile（需在 PDB 内用
CREATE PROFILE），但注意：profile 中的PASSWORD_VERIFY_FUNCTION必须已在 CDB 中定义并授权给该 PDB 使用； - 禁用跨 PDB 访问：确保用户无
SET CONTAINER权限，且未被授予CDB_DBA或类似公用角色； - 若启用 MFA（如 Oracle Mobile Authenticator），必须在 CDB 层为用户开启，PDB 内无法单独开关 —— 2025 年 7 月 DBRU 后支持的
ALTER USER ... ENABLE EDITIONS类 MFA 配置命令，作用域仍是 CDB 级。
容易踩的坑：误以为 PDB 可以绕过 CDB 密码策略
常见错误现象：
• 在 PDB 中修改用户密码后，发现仍受 CDB 的 ORA12C_VERIFY_FUNCTION 约束（比如强制要求特殊字符），以为是 PDB 没生效；
• 尝试在 PDB 中执行 CREATE PROFILE my_profile LIMIT PASSWORD_VERIFY_FUNCTION my_func，结果报错 ORA-65094: invalid local user or role name —— 因为函数名必须是 CDB 全局已存在的对象；
• 使用操作系统认证时，设了 OS_AUTHENT_PREFIX = 'pdb1$'，却发现所有 PDB 都认这个前缀 —— 实际上该参数是 CDB 级静态参数，重启才生效，且对所有 PDB 一视同仁。
最常被忽略的一点：PDB 的“独立性”体现在数据与权限隔离，而非认证链路。任何想让 PDB 拥有完全独立登录入口（比如不同 LDAP 域、不同 MFA 提供商）的方案，都必须在 CDB 外加网关层（如 Oracle Unified Directory 或第三方代理），PDB 本身不提供该能力。
